[B! React] Lessons from React2Shell

dorapon2000 ”The traditional approach of clear separation between frontend and backend, standard protocols like HTTP and JSON, explicit API boundaries might seem old-fashioned but it works. It's secure.“

2025/12/17 リンク

aiueokabe RSCのFlightプロトコルはクライアントからの入力を絶対に信用しないという基本原則を守っていない。単純な実装ミスではなくアーキテクチャレベルでの誤りであり、パッチを当てても根本的な解決にはならないという指摘。

2025/12/16 リンク

YassLab “The vulnerability wasn't an implementation bug that slipped through code review. It was the predictable consequence of violating a fundamental security principle: complex deserialization of untrusted data leads to remote code execution. If you can't do it perfectly don't do it at all.”

2025/12/15 リンク

manaten 自分は根本原因はプロトタイプベース言語をサーバーで使ってることなんじゃないかって思ってきてる。RSCは先鋭的なので問題を顕在化させやすかっただけで。チャレンジには言語レベルでのセキュアさが必要なのかなと

2025/12/15 リンク

uehaj だから全ファイルに"use client"しろとあれほど

2025/12/15 リンク

door-s-dev "React Server Components represent a fundamental architectural mistake. Patching one exploit doesn't fix the underlying problem"

2025/12/14 リンク

z67kjh つまりStruts2みたいに定期的にRCEを起こすってことだろう

2025/12/14 リンク

mayumayu_nimolove つまりどうゆう事だってばよ

2025/12/14 リンク

xsde "信頼されないデータの複雑なデシリアライズはリモートコード実行を招く" "JavaScriptロックイン: 適材適所の喪失" // 最後のThe Broader Patternにも手厳しいことが書いてある

2025/12/14 リンク

mkusaka ReactのCVE-2025-55182(CVSS 10.0)を題材に、Flightの危険なdeserializationやRSC/‘use server’の問題点を解説。　https://sider.ai/share/8c6c7c675cbc1a25944fa19b6b50647f

2025/12/14 リンク